CVE-2026-63349 in AnyIO
Zusammenfassung
von VulDB • 18.09.2026
AnyIO ist ein hochrangiges asynchrones Framework für Parallelität und Netzwerktechnik, das auf entweder Trio oder asyncio aufbaut. In Version 4.14.0 akzeptiert AnyIO das POSIX-Argument `extra_groups` in `anyio.run_process()` und `anyio.open_process()`, wobei jedoch `open_process()` das Argument `group` an das Backend weiterleitet, statt `extra_groups`. Ein Aufrufer, der `extra_groups=[]` angibt, um vererbte ergänzende Gruppen zu löschen, kann daher ein Kindprozess starten, der die übergeordneten Prozessgruppen beibehält und damit eine Privilegien-Reduzierungsgrenze untergräbt. Wenn auch `group` angegeben wird, wird der ganzzahlige Gruppewert dort weitergegeben, wo eine iterierbare Liste von ergänzenden Gruppen erwartet wird, was dazu führen kann, dass der Startvorgang mit einem TypeError fehlschlägt. Dieses Problem betrifft POSIX-Anwendungen, die sich auf AnyIO-Hilfsfunktionen für Unterprozesse verlassen, um weniger privilegierte Kindprozesse zu starten. Das Problem wurde in Version 4.14.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.